Docker化Nginx反向代理通过环境变量配置SSL证书报错如何解决？

Nginx核心配置的ssl_certificate、ssl_certificate_key这类指令需要在启动加载配置阶段就获取到确定的文件路径，不支持动态读取环境变量或者运行时变量，你直接在配置里写$ENV{xxx}、$xxx都会被Nginx当成普通路径字符串解析，自然会识别不到结尾的分号，触发报错。

方案1：使用官方Nginx镜像自带的模板替换功能（最简便） #

官方Nginx镜像内置了启动时自动替换模板变量的逻辑，不需要自己写额外脚本：

• 把你的配置文件重命名为default.conf.template，放入容器内的/etc/nginx/templates/目录下
• 配置文件里的证书路径直接写标准的变量占位符格式即可：

  ssl_certificate     /etc/ssl/${FULLCHAIN};
  ssl_certificate_key /etc/ssl/${PRIVKEY};
  

• 启动容器时传入FULLCHAIN、PRIVKEY环境变量即可，镜像的入口脚本会自动把模板里的变量替换为真实值，生成实际生效的配置文件到/etc/nginx/conf.d/目录，再启动Nginx。

方案2：自定义启动脚本替换（适配非官方镜像/自定义场景） #

如果你用的是自行构建的精简Nginx镜像，有特殊的自定义需求，可以自己写入口脚本做变量替换：

1. 把原配置文件里的证书路径改为占位符：

   ssl_certificate     /etc/ssl/__FULLCHAIN__;
   ssl_certificate_key /etc/ssl/__PRIVKEY__;
   

2. 编写启动脚本entrypoint.sh：

   #!/bin/sh
   # 替换配置里的占位符为环境变量值
   sed -i "s/__FULLCHAIN__/$FULLCHAIN/g" /etc/nginx/conf.d/default.conf
   sed -i "s/__PRIVKEY__/$PRIVKEY/g" /etc/nginx/conf.d/default.conf
   # 启动Nginx
   exec nginx -g 'daemon off;'
   

3. 在Dockerfile中添加执行权限，指定入口脚本：

   COPY entrypoint.sh /entrypoint.sh
   RUN chmod +x /entrypoint.sh
   ENTRYPOINT ["/entrypoint.sh"]
   

你尝试的几种写法都是直接把变量写在最终加载的Nginx配置里，Nginx启动解析配置阶段不会主动读取系统环境变量做替换，$开头的内容会被当成路径的一部分，解析到行尾时配置解析器还认为当前路径字符串没有结束，就会抛出「缺少分号终止符」的错误。

内容的提问来源于stack exchange，提问作者3therk1ll